php中防止偽造跨站請(qǐng)求的小招式
更新時(shí)間：2011年09月02日 14:21:07 作者：
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。
偽造跨站請(qǐng)求介紹
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。這種攻擊常見(jiàn)的表現(xiàn)形式有：
偽造鏈接，引誘用戶(hù)點(diǎn)擊，或是讓用戶(hù)在不知情的情況下訪問(wèn)
偽造表單，引誘用戶(hù)提交。表單可以是隱藏的，用圖片或鏈接的形式偽裝。
比較常見(jiàn)而且也很廉價(jià)的防范手段是在所有可能涉及用戶(hù)寫(xiě)操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶(hù)身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩。
yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串;而facebook也有類(lèi)似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
隨機(jī)串代碼實(shí)現(xiàn)
咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}
代碼中的$uid表示用戶(hù)唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
應(yīng)用示例
構(gòu)造表單
在表單中插入一個(gè)隱藏的隨機(jī)串crumb
<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>
處理表單 demo.php
對(duì)crumb進(jìn)行檢查
<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
?>
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過(guò)這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。這種攻擊常見(jiàn)的表現(xiàn)形式有：
偽造鏈接，引誘用戶(hù)點(diǎn)擊，或是讓用戶(hù)在不知情的情況下訪問(wèn)
偽造表單，引誘用戶(hù)提交。表單可以是隱藏的，用圖片或鏈接的形式偽裝。
比較常見(jiàn)而且也很廉價(jià)的防范手段是在所有可能涉及用戶(hù)寫(xiě)操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶(hù)身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩。
yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串;而facebook也有類(lèi)似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
隨機(jī)串代碼實(shí)現(xiàn)
咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
復(fù)制代碼 代碼如下:
<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}
代碼中的$uid表示用戶(hù)唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
應(yīng)用示例
構(gòu)造表單
在表單中插入一個(gè)隱藏的隨機(jī)串crumb
復(fù)制代碼 代碼如下:
<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>
處理表單 demo.php
對(duì)crumb進(jìn)行檢查
復(fù)制代碼 代碼如下:
<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
?>
相關(guān)文章
PHP單例模式模擬Java Bean實(shí)現(xiàn)方法示例
這篇文章主要介紹了PHP單例模式模擬Java Bean實(shí)現(xiàn)方法,涉及php面向?qū)ο蟪绦蛟O(shè)計(jì)相關(guān)操作技巧,需要的朋友可以參考下2018-12-12
當(dāng)你在發(fā)送郵件時(shí)，你或許很想知道該郵件是否被對(duì)方已閱讀，下面有段不錯(cuò)的代碼可以實(shí)現(xiàn)此需求，喜歡的朋友可以參考下2013-12-12
修改php.ini實(shí)現(xiàn)Mysql導(dǎo)入數(shù)據(jù)庫(kù)文件最大限制的修改方法
這里介紹修改php.ini實(shí)現(xiàn)Mysql導(dǎo)入數(shù)據(jù)庫(kù)文件最大限制的修改方法,簡(jiǎn)單說(shuō)明了wampserver服務(wù)器上針對(duì)php.ini配置文件上傳限制參數(shù)、內(nèi)存限制參數(shù)以及post傳輸參數(shù)等修改方法,需要的朋友可以參考一下2007-12-12
這篇文章主要介紹了PHP里8個(gè)鮮為人知的安全函數(shù),較為詳細(xì)的分析了addslashes、htmlentities、htmlspecialchars及md5等函數(shù)在PHP程序設(shè)計(jì)安全中所起到重要作用,非常具有實(shí)用價(jià)值,需要的朋友可以參考下2014-12-12
比較詳細(xì)的關(guān)于php5的異常處理方法，而且給出了，多種方法2008-07-07
利用phpexcel對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)的導(dǎo)入excel（excel篩選）、導(dǎo)出excel
本篇文章主要介紹了利用phpexcel對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)的導(dǎo)入excel（excel篩選）、導(dǎo)出excel的相關(guān)知識(shí)。具有很好的參考價(jià)值。下面跟著小編一起來(lái)看下吧2017-04-04
php圖片上傳存儲(chǔ)源碼并且可以預(yù)覽，學(xué)習(xí)php的朋友可以參考下。2011-08-08
PHP實(shí)現(xiàn)大數(shù)(浮點(diǎn)數(shù))取余的方法
這篇文章主要介紹了PHP實(shí)現(xiàn)大數(shù)(浮點(diǎn)數(shù))取余的方法,結(jié)合實(shí)例形式分析了php數(shù)學(xué)運(yùn)算相關(guān)操作技巧,需要的朋友可以參考下2017-02-02
這篇文章主要介紹了PHP使用token防止表單重復(fù)提交的方法,通過(guò)生成一個(gè)加密后的隨機(jī)數(shù)存入session的token變量,同時(shí)將該值放入表單隱藏提交,達(dá)到防止表單重復(fù)提交的功能,需要的朋友可以參考下2016-04-04
在PHP程序中運(yùn)行Python腳本(接收數(shù)據(jù)及傳參)的方法詳解
這篇文章主要為大家詳細(xì)介紹一下，如何在php程序中運(yùn)行Python腳本以及如何使用python返回josn數(shù)據(jù)供php使用，感興趣的小伙伴可以了解一下2022-09-09